Drupal core に PHPオブジェクトインジェクション (PHP Object Injection) の脆弱性が存在する可能性

CVE-2024-55636 は Drupal コアに影響を与え、潜在的な PHP オブジェクトインジェクションの脆弱性をもたらします。別のエクスプロイトと組み合わせることで、任意のファイル削除につながる可能性があります。この脆弱性は現在の状態では直接的に悪用できないことに注意することが重要です。CVSS スコアは 9.8 と評価されており、高いリスクを示していますが、前提条件の存在により、直接的な影響は大幅に制限されます。

Organizations running Drupal Core versions 9.5.9 and earlier, particularly those with complex module configurations or custom code that might introduce vulnerabilities allowing input to unserialize(), are at risk. Shared hosting environments utilizing Drupal Core are also potentially vulnerable due to the shared nature of the infrastructure.

1. 2024-12-10Disclosure

   disclosure

1. 予約済み2024-12-09
2. 公開日2024-12-10
3. 更新日2025-12-10
4. EPSS 更新日2026-04-02

主な軽減策は、この脆弱性を悪用するには、攻撃者が unserialize() 関数に安全でない入力を渡すことを可能にする別の脆弱性が存在する必要があるという事実です。現在、Drupal コアにはこの要件を満たす既知のエクスプロイトはありません。Drupal は、一部のコンポーネントのプロパティに型を追加するなど、予防的な対策を講じてセキュリティを強化し、攻撃対象領域を削減しています。